Es kommt auf die Rechte an
Manche Anwendungen laufen mit erhöhten Rechten oder privilegiertem Systemzugriff.
Schlecht eingeschränkter Zugriff kann auch andere Systeme gefährden.
Desktop-App-Test
Auch Desktop-Anwendungen sind eine Angriffsfläche.
Mit manuellen Tests finden wir heraus, wie sich eine Desktop-Anwendung missbrauchen ließe: ob jemand auf gespeicherte Daten zugreifen, Berechtigungen umgehen oder über die Anwendung tiefer in Ihre Unternehmenssysteme vordringen könnte.
Geschäftsrisiko
Nicht nur die Anwendung ist gefährdet.
Desktop-Anwendungen verarbeiten oft sensible Daten, laufen mit erhöhten Rechten und sind mit internen Systemen verbunden. Verborgene Fehler aus der Entwicklung können daher weit über die Anwendung hinaus ein Risiko darstellen.
Für den internen Gebrauch gebaut – und trotzdem angreifbar
Viele Desktop-Anwendungen wurden nur für den internen Gebrauch entwickelt, daher hat niemand mit gezieltem Missbrauch gerechnet.
Direkte Datenbankverbindung, fest im Programm hinterlegte Passwörter und ungeprüfte Berechtigungen: Mehr braucht ein böswilliger Nutzer oder ein infizierter Rechner oft nicht.
Kunden verlangen Nachweise
Großkunden erwarten von Softwareanbietern zunehmend, dass sie die Sicherheit ihrer Produkte durch unabhängige Tests belegen.
Ein Penetrationstest-Bericht kann im Beschaffungsprozess auch ein Wettbewerbsvorteil sein.
Zu jedem Befund liefern wir technische Nachweise und konkrete Hinweise zur Behebung, denen Ihr Entwicklungsteam direkt folgen kann. Der Bericht belegt gegenüber Kunden und Auditoren, dass die Anwendung von unabhängigen Spezialisten geprüft wurde.
Beratung anfragenMethodik
Wie wir Desktop-Anwendungen testen.
Statische und dynamische Analysen ergänzen wir durch manuelle Tests, damit neben technischen Schwachstellen auch Logikfehler ans Licht kommen. Die Prüfung umfasst sechs Bereiche – vom Installationspaket bis zum Update-Prozess.
- Analyse von Installationspaket und Installationsablauf
- Dateistruktur und Registry-Änderungen
- Nutzung von Systembibliotheken
- Verbindungspunkte (APIs, Datenbanken, Netzwerke)
- Netzwerkkommunikation (TLS, APIs, Protokolle)
- Ausführung in einer isolierten Umgebung (virtuelle Maschine, Sandbox)
- Speichernutzung und laufende Prozesse
- Fehler- und Ausnahmebehandlung
- Eingabevalidierung
- Pufferüberläufe und Injection-Angriffe
- Filterung und Escaping von Ausgaben
- Sichere Protokollierung
- Im Dateisystem, in der Registry und im Cache gespeicherte Daten
- Umgang mit Passwörtern und Zugriffstokens
- Eingesetzte Verschlüsselungsverfahren
- Korrekte Verwendung kryptografischer Algorithmen
- Integrität des Installers (digitale Signatur, Hash)
- Ausführungsrechte (z. B. Administratorrechte)
- Authentifizierungsmechanismen
- Rollenbasierter Zugriff und Berechtigungsprüfung
- Fehler in der Geschäftslogik
- Prüfung von Transaktionen und Abläufen
- Fest codierte Zugangsdaten und Geheimnisse
- Schutz vor Reverse Engineering und Manipulation
- Sicherheit und Integrität des Update-Prozesses
Beratung
Sicherheit beginnt mit einem Gespräch.
Keine Verkaufsfloskeln – nur ein fokussiertes Gespräch über Ihre Geschäftskontinuität und Ihre operativen Risiken.